Üst düzey yönetici değilseniz, gerçekçi bir şekilde mega bir şirkette politikayı etkilemek için yapabileceğiniz hiçbir şey yoktur ve konuşabildiğiniz uygulayıcılar da hiçbir şeyi değiştiremez.

Maalesef, Seçimleriniz, ortaya çıkardıkları BS ile yaşamayı kabul etmek ya da daha az Dilbertesque işveren aramaktır.

Şu anda katlandığınız gibi deneyimler bir taraftır birçok insanın neredeyse tüm kariyeri boyunca benzer büyüklükteki şirketlerde çalışmasının nedeni. Bu denklemin diğer yarısı, büyük şirketin işleri yapma şeklini seven, küçük bir şirketin kargaşasını kaldıramayan insanlardır.

Yanlış kişilere şikayette bulunuyorsunuz.

Bir başlangıçtan geliyorsunuz, bu yüzden iki şeyi varsayıyorum:

1. Şirketiniz, çalışanlarının uzmanlığı nedeniyle satın alındı. Normalde yeni kurulan işletmelerin Megacorp'a kıyasla çok az insan gücü vardır. Böylece Megacorp ürününüzü kısa sürede kolayca kopyalayabilir, ancak yapmazlar, çünkü her zaman bir adım geride kalırlar.
2. Büyük şirketlerin çalışanları daha iyi bildiklerini düşünürler çünkü büyük bir şirket için çalışırlar ve sen yapmadın. Böylece uzmanlığınız ve süreçleriniz göz ardı edilecek.

Aşağıdan yukarıya değişiklik getirmeye çalışıyorsanız, çalışma kültürünüz Megacorp bürokrasisinde çözülür.

Yöneticinize iletin

Çalışma şeklinizi korumak için desteğe ihtiyacınız var, bu nedenle sorunları yöneticinize iletin. Bizi onlarla karşılaştırmayın, ama etkiyi açıkça gösterin. Şeker kaplaması yok, "Çalışmasını sağlayabilirim" veya benzerine izin verilmez. Bunu kendi başınıza çözebilecek durumda değilsiniz.

En iyi durum, Megacorp'un yeni bir yaklaşım denemeyi kabul etmesi ve fikirlerinizi benimsemesi olabilir. İkinci en iyi şey, "işler çözülene" kadar bağımsız olarak çalışabileceğiniz biraz zaman kazanabilmenizdir.

Basmaya devam edin

Beklemeyin anlık değişiklikler. Megacorp'taki standart yaklaşım, bir toplantı ayarlamak, konuyu tartışmak, bir plan yapmak ve sonra her şeyi unutmaktır çünkü diğer yüksek öncelikli görevleri vardır. Bu, meşgul resmi liderliğe yardım ederek liderlik etme fırsatı yaratabilir.

Bir şeyi gerçekten değiştirmek istiyorsanız, dayanıklı olmanız gerekir. Bu nedenle motivasyonunuz konusunda emin olun, aksi takdirde daha sonra zamanınızı boşa harcadığınızı hissedebilirsiniz.

Zaman çizelgelerinizi doldururken (çünkü şu anda büyük megacorp için çalışıyorsunuz, bunu şimdi yapmanız gerektiğini varsayıyorum) gerçek bir iş yapmadığınız ancak bahsettiğiniz konularla meşgul olduğunuz tüm saatleri kaydettiğinizden emin olun. Sorunlarınızı kesinlikle hemen çözmez, ancak bu zaman çizelgeleri ile gerçekten bir şey yapılırsa, belki zincirdeki biri bunu fark edecek ve harekete geçecektir.

Ben, yaklaşık 7 yıldır siber güvenlik mesleğinde çalışıyorum. Tek oturum açma (SSO) ve çok faktörlü kimlik doğrulama (MFA) gibi bahsettiğiniz güvenlik kontrollerinin düzgün bir şekilde uygulandığında iyi bir fikir olduğu konusunda size katılıyorum.

Doğru güvenliğin kritik olduğunu ve bahsettiğiniz güvenlik kontrollerinin teoride iyi bir fikir olduğunu kabul ederek başlayacağım. Görüşmeyi anlaşma konuları üzerinde başlatın - "ne" ile ilgili. Bu, bir güvenlik profesyoneli olarak, uygun siber güvenlik seviyesi fikrine karşı olmadığınızı gösterecektir. Aynı fikirde olmadığınız yerde, bu güvenlik kontrollerinin nasıl uygulandığı”

Teknik bir rol üstlendiğinize göre, değişiklikleri ortaya çıkarmak için teknik uzmanlığınıza geri döneceğim arzuluyorsun. Onlara, çeşitli kimlik protokollerine (örneğin: SAML) sahip uygun bir SSO sağlayıcısının nasıl çalışması gerektiğini gösterin. Kötü niyetli bir BT çalışanı gibi bir tehdit aktörünün başka bir kullanıcının hesabını tehlikeye atabileceği ve ardından mevcut, bozuk parola sıfırlama işlemini kullanarak onun kimliğine bürünebileceği olası saldırı senaryosunu onlara gösterin. Nihayetinde, yönetimin, endişelerinizin işinizi yapmanıza olumsuz yönde etki eden gerçek somut sonuçlara sahip olduğu konusunda kesinlikle net olmasını istersiniz. Endişelerinizi ortaya koyabilmek aslında gerçekleştirilebilir ve sadece hayal ürünü değil, kritik önem taşır.

Her şeyi belgeleyin. "X" veya "Y" veya "Z" için ne kadar zaman harcadığınız. Her şeyi ticari şartlara ayırın - ne kadar zaman harcanıyor ve bunun işletmeye maliyeti nedir.

Hızlı değişiklikler yapamayacaksınız. Büyük kuruluşlar, yön değiştirmesi sonsuza kadar süren bir savaş gemisi gibidir.

Büyük bir kuruluşta çalışmanın nasıl bir şey olduğunu keşfediyorsunuz. Açıkladığınız sorunlar, güvenlik ekibini denetleyen yönetici ve bu ekibin mimarı, her ikisi de bir sorun olduğunu kabul edene, sorunu çözmek için finanse edilen bir proje alana ve kurs boyunca bir çözüm sunana kadar devam edecektir.

Durumunuza alışın, çünkü ne kadar haklı olursanız olun bir süre böyle olacak. Bu arada, kimsenin kıçında kendinize acı çekmeyin. Bu, MegaCorp'ta terfi beklentilerinizi ve hatta rolünüzdeki yanal değişiklikleri sınırlamanın harika bir yolu olacaktır.

Bunun yerine, çözmek istediğiniz, yönetimin çözmenizi istediği bir zorluk bulun ve bu zorluğu kabul edin ve peşinden git. Güvenlik politikaları, içinde çalışmanız gereken ortamın sadece bir parçasıdır. Size sorun çıkarırlarsa, paydaşlarınızın bunları ve onlarla nasıl çalışmayı planladığınızı bildiğinden emin olun. Sonra devam edin.

Çoğu durumda, yapamazsınız.

Bu "infosec" kişilere, kendi başarısızlıklarına kadar izini sürebilen ihlallere sahip olmadıkları için ödeme yapılır, övülür ve terfi edilir.

Suçu başka birine verebildikleri sürece, genel olarak ihlaller onlar için kötü değildir. Dahası, daha fazla bütçe ve daha fazla güç elde etmek için ihlali kötüye kullanabilirler.

Başkalarının prodictivitesini yarıya indirmek (veya daha kötüsü) onların sorunu değildir. Üst yönetim genellikle herkese uygulanan bir sonraki "güvenlik önlemi" nden vazgeçer ve politikayı onlar için gevşetir. Her şeye aynı anda uymanın yükünü görmezler. Sıradan çalışan aynı lükse sahip değil ve üretkenlik, kaynamış kurbağa etkisinden zarar görüyor.

Beni yanlış anlamayın, ben de bir geliştiriciyim ve ben de bunun gibi kuruluşlarda çalıştım ama bir şeyleri değiştirme şansınız çok az (Benim deneyimlerime göre küçük değişiklikler yapabilirsiniz ama genel olarak, temel değişiklikler yapamazsınız) bu nedenle ya onunla yaşamayı öğrenin ya da beğeninize göre başka bir şey bulun.

Büyük şirketler, mali cezaları nedeniyle kısıtlayıcı güvenlik politikalarına sahip olma eğilimindedir. yanlış yapmak çok ciddidir. Kötü niyetli saldırı tehdidinin yanı sıra, sektörünüze bağlı olarak, güvenlik ihlalleri için son derece ağır düzenleyici cezalar olabilir.

Kuruluşlar, para kazanmayı önemsiyor ve bir yazılım geliştiricisinin gününü kesintiye uğratması tercih ediliyor, fidye yazılımı için bazilyon dolar ödediğini varsayalım.

Mümkün olduğunca yükseğe ve bulabileceğiniz en iyiliksever kişiye inanıyorum.

Dahili e-postayı kullanırken birinin neredeyse kesinlikle onu izlediğini unutmayın. Yapmak istediğiniz önerilen noktayı gösteren basit, kısa bir yazılı notla, kişinin OA'sı aracılığıyla yaklaşırdım. Göndermeden önce gerekli kişilere kopyalayın, böylece onların arkasından gitmezsiniz. Eğer itiraz ederlerse, "Bak, bu önemli ve hiçbir yere varamıyoruz. Birisi fark etmezse, daha yükseğe çıkmam zorunda olacağım" der.

İşte ne yazabilirim:

Sevgili VIP

TinyCo'nun, güvensizliğe sahip olduğumuz uzmanlık nedeniyle devralındığını anlıyorum, ancak bu uzmanlığın olmadığı bir alan var henüz tam olarak kullanılıyor.

Özellikle, günümüz dünyası için güncellenmesi gereken bir veya iki önemli güvenlik gereksinimi var. Ancak MegaCorp'tan devralınan ve bu önlemleri ilerletmemi engelleyen eski kurallarla karşılaştım. Sadece veri güvenliğini artırmakla kalmazlar, bence önemli ölçüde zaman ve para tasarrufu da sağlarlar.

Bu fikirleri resmi olarak sunabilmem için beni bir Megacorpsecurity uzmanıyla temasa geçirmeyi düşünür müsünüz acaba? size rapor verebilir misiniz?

Saygılarımızla

cypher

Bu ne yapar

Kendileri için herhangi bir iş oluşturmadan bunu önemli kişinin dikkatine getirir.

Adıyla tanıyacakları tek MegaCorp güvenlik uzmanı, en iyi adam / gal olun. VIP'nin yapması gereken tek şey, "Lütfen buna bakın ve rapor edin" diyen bir mesaj göndermektir. Öyleyse masalarından kalkıyor.

Uyarı

VIP'yi hiçbir zaman SSO veya IT biletleriyle ilgili teknik konuşmalarla bombardımana tutmamalısınız - Muhtemelen hiç bunların ne olduğuna dair bir fikriniz var. Teknik olarak düşünüyorsa, isterlerse sizden teknik bir özet isteyebilirler.

Ne doğru olabilir

1. Önerileriniz şirketi çok fazla zaman ve para israfından kurtarırsa, kariyerinizi büyük ölçüde hızlandırabilirsiniz. VIP artık adınızı biliyor.

2. Ufak bir uşak olmadığınızı, ancak fikirleri önemli olan bir eşit olduğunuzu büyük birliğin zihnine ekiyor.

3. MegaCorps çalışanlarının yeni bir şeye geçmeden önce size danışmalarına bile yol açabilir.

Ne ters gidebilir?

Çok fazla risk olduğunu düşünmüyorum çünkü VIP sizi görmezden gelirse veya sadece "Birincil patronunuzla konuşun" derse, kaybetmemişsinizdir herhangi bir şey. Ancak VIP yardımsever, zekiyse ve size yardımcı oluyorsa, kimse tartışmayacaktır.

Sorumluluk Reddi

Her eylemin veya eylemsizliğin riskleri ve sonuçları vardır . Şahsen önerimin bir dezavantajı olduğunu düşünmüyorum, ancak kendiniz için herhangi bir riski tartmalısınız. Yıllarca süren hayal kırıklığı, biraz riskli bir eylemde bulunmaktan daha mı iyidir?

Rastgele düşünceler

Belki özel not kullanmayabilir, ancak birinin kafasını karıştırmaktan kaçının kurallar nedeniyle herhangi bir ilerleme olmadığı için onlara doğrudan VIP ile iletişim kuracağınızı söylemek. Yine itiraz ederlerse, "Ama bu gerçekten önemli ve hiçbir yere varamıyoruz" deyin. Hâlâ itiraz ederlerse, ahlaki yüksek zemini alın, "Üzgünüm ama mevcut durum şirkete zaman ve paraya mal oluyor. Buna meydan okumasaydım görevimi yapmazdım. Başka seçeneğim yok"

Asla bir kişiyi veya departmanı suçlamayın - İnsanların başını belaya sokmaya çalışmıyorsunuz. Planınızın sağlayacağı faydaları ve iyileştirmeleri her zaman belirleyin.

Yönetim ve güvenlik görevlileriyle konuşmaya hazır olun.
Ama her şeyden önce herkesle en çok anladıkları "dil" ile konuştuğunuzdan emin olun.

Konuşma "zamanı ve "üst yönetiminizle para. Nasıl / neden güvensiz olduğu hakkında fazla konuşmayın. Onunla ilgilenmeyebilirler. Yönetim daha çok ne kadar zaman / para maliyeti olduğu veya ne kadar kaybedildiği konusunda endişelidir - ve bu şekilde konuşmalısınız. Buna hazırlanmak için önce şu soruları yanıtlayın.

• Ne kadar zaman alır senden aylık ("engellenen" süreyi de dahil edin)
• Ekipten (veya organizasyondan) ayda ne kadar zaman alıyor?
• Ne kadar iş olabilir onun yerine bitti mi? (ör. görevler, özellikler, hikaye noktaları)

Zaman / ay çok azsa, belki de bunun için gitmemek daha iyidir.
Ama fark edilir derecede büyükse ve / veya ekibi engeller - bunun için gidin!
Yöneticilerinizle konuşmadan önce zamanı görünür iş veya para birimlerine çevirdiğinizden emin olun.
Örneğin: Sorunlar takımın her üyesi ayda bir. Düzeltilmesi 2-3 saat sürer. Takımın 10 üyesi varsa, bu ayda 20-30 saat yapar ki bu 2-4 tam iş günü demektir. Yani şu dile çevrilebilir:
"Takım bloke olduğu için ayda 3 tam iş günü kaybeder "
" Bu sorunları yaşamıyorsak ayda 5 yüksek öncelikli özelliği daha uygulayabiliriz. "

Güvenlik liderlerinizle" güvenlik "hakkında konuşun . Bunun sizin veya ekibiniz için ne kadar sakıncalı olduğu hakkında fazla konuşmayın. Önemsemeyebilirler, güvenlik rahatlıkla ilgili değildir. Ne kadar güvenli / güvensiz olduğu, bunun üstesinden gelmek için ne kadar az (veya hiç) iş yapmamaları gerektiğiyle ilgilenirler.

• Çözüm araştırması. Sorunları yazın. Sonra her birini araştırın ve nasıl yapılması gerektiğine dair (zihninizde veya yazılı olarak) çözümler hazırlayın. Yapıcı konuşmalar yapmak için hangi sorunları düzeltmek istediğinizi ve nasıl düzeltilebileceğini net bir şekilde açıklamanız gerekir.
• Tahminler. Mümkünse, her bir düzeltmenin uygulanmasının ne kadar zaman alacağını sayın. Mümkünse, güvenliği iyi olan arkadaşlarınıza danışın (takımınızda veya diğer birliklerde) Uygulama süresi azsa, sizden / takımdan (ayda) geçen süreden daha azsa, bu noktayı konuşmalarınızda kullanın. . Tahminlerin gerçekçi olduğundan emin olun. Karar verici bir argüman haline gelebilir.

Toplantılar düzenleyin . Yönetici, güvenlik ekibi ile konuşun, ardından ilgili taraflarla toplantı ayarlayın. Sonunda hepsi şu sorulara dönecek: "Ne kadara mal olacak?", "Maliyete değer mi?", "Yaparsak daha fazla iş değeri kazanacak mıyız?". Bu sorulara hazır olun. Ve eğer kesinlikle maliyete değerse, yönetim bir süre sonra güvenlik ekibini zorlamaya başlayacaktır.

Tüm bunlardan sonra sabırlı olmanız gerekecek. Birkaç kez yukarıdaki adımlardan geçmeye hazır olun. Ayrıca,

• İstatistikleri saymaya devam edin . Notlarınıza ve raporlarınıza sizin (veya takım arkadaşlarınızın) engellendiği zamanı yazın. Bir sonraki görüşmelerinizde buna ihtiyacınız olacak. Yeterince "sayıya" sahip olur olmaz, teklifleriniz fark edilmeye başlayacaktır. Bunun tersi de mümkündür - iş açısından bakıldığında bunun "maliyete" değmediğini fark edebilirsiniz (soruna bağlı olarak).
• "Karşı" davranmayın, "düzeltmeye" gidin . Yıkıcı suçlamalar ve şikayetler kullanmayın. Bu tür davranışlar, beceriksizliğin ve profesyonelliğin göstergesi olarak görülüyor ve kariyerinizi olumsuz etkileyebilir.
• Sürekli, yapıcı bir şekilde yükseltmeye devam edin . Değişiklik ertesi gün olmayacak. Şirketinizin büyüklüğüne bağlı olarak aylar sürebilir.

Sonunda, başarılı olursanız, bir liderlik eylemi olarak görülecektir ve kariyerinizi olumlu yönde etkileyecektir. Sonuçları birkaç ay içinde paylaşmayı unutmayın :)